CVE-2026-63640

Nome do Software Vulnerável e Versões Afetadas MagicMirror² versões anteriores a 2.37.0

Description Quando a configuração hideConfigSecrets está ativada, o despachante de socket catch-all em js/node helper.js processa payloads de objetos recebidos através da função replaceSecretPlaceholder em js/server functions.js antes de chamar socketNotificationReceived(). Um cliente conectado a um namespace de módulo carregado pode enviar um placeholder SECRET API KEY, fazendo com que o servidor o substitua pelo valor real do ambiente do processo. Por exemplo, o helper de clima padrão aceita INIT WEATHER, copia um instanceId controlado pelo atacante e o retorna via WEATHER ERROR, criando um caminho de eco que expõe tokens de API, credenciais ou chaves de serviço armazenadas em variáveis SECRET .

Recommendations Atualize o MagicMirror² para a versão 2.37.0.